Una parte de las búsquedas que llegan a esta web piden un «DNS para abrir sitios bloqueados». La respuesta corta es que a veces funciona y a veces no, y la diferencia está en cómo bloquea tu operador. Esto va de saber distinguirlo.
Las tres formas de bloquear una web
Cuando un operador tiene que bloquear un dominio, tiene tres herramientas, de más barata a más cara.
Bloqueo por DNS. El operador configura su propio resolver para que, cuando alguien pregunte por ese nombre, responda «no existe» o devuelva una IP suya con una página de aviso. Es lo más habitual con diferencia, porque no cuesta nada y no toca el tráfico. Sólo funciona si usas el DNS del operador, que es lo que hace todo el mundo por defecto.
Bloqueo por IP. El operador corta el tráfico hacia las direcciones IP del servidor. Ya no importa cómo resuelvas el nombre: la conexión no llega. Es más costoso de mantener (las IP cambian, y bloquear una IP de una CDN puede tumbar cientos de webs ajenas), así que se reserva para casos concretos.
Bloqueo por SNI. En una conexión HTTPS, el nombre del sitio viaja en claro al principio (el SNI), aunque el resto vaya cifrado. Algunos operadores inspeccionan ese campo y cortan la conexión si coincide con la lista. Requiere equipos de inspección de tráfico y es el método de los bloqueos «serios».
Qué salta el DNS y qué no
Cambiar el resolver salta sólo el primero. Si pones 1.1.1.1 o 9.9.9.9, tu dispositivo ya no le pregunta al operador y obtiene la IP real. Contra los otros dos no hace nada, porque el nombre ya está resuelto y el bloqueo actúa después, sobre la conexión.
Con un matiz importante: muchos operadores que bloquean por DNS también interceptan el tráfico DNS convencional (puerto 53). Da igual que pongas 1.1.1.1: la consulta la captura el operador y responde él. Por eso, si vas a cambiar el DNS para esto, tiene que ser cifrado: DoH o DoT. El operador ve una conexión TLS a Cloudflare o a Quad9 y no puede leer ni sustituir lo que va dentro. En Android es el ajuste «DNS privado»; en Windows 11, macOS e iOS se activa en los ajustes de red o con un perfil; las guías de configuración lo explican por sistema.
Cómo saber cuál es tu caso
Se tarda un minuto:
- Configura un DNS público cifrado (por ejemplo
one.one.one.onecomo DNS privado en Android, o 1.1.1.1 con DoH en el navegador). - Prueba a abrir la web. Si abre, el bloqueo era por DNS. Fin.
- Si no abre, comprueba que el nombre resuelve: la herramienta de consulta DNS te devuelve la IP real del dominio. Si la devuelve pero la web no carga o da «tiempo agotado», el bloqueo es por IP o SNI. Cambiar el DNS no te va a servir.
En el tercer caso, lo que salta el bloqueo es una VPN, que cifra toda la conexión y la saca por otro país, o un navegador que cifre el SNI (Encrypted Client Hello, que Firefox y Chrome ya soportan cuando el sitio también lo hace). Eso ya es otro artículo.
Qué DNS usar
Para este propósito, un resolver sin filtrado y que no esté sometido a la misma orden de bloqueo:
| Resolver | Nombre para DNS privado / DoT | IP |
|---|---|---|
| Cloudflare | one.one.one.one | 1.1.1.1 |
| Quad9 (bloquea sólo malware) | dns.quad9.net | 9.9.9.9 |
dns.google | 8.8.8.8 | |
| DNS4EU, variante sin filtrar | unfiltered.joindns4.eu | 86.54.11.100 |
Evita para esto los resolvers con filtrado familiar o de anuncios: bloquean por su cuenta, y te costará distinguir un bloqueo del operador de uno del resolver.
Y un caso especial en España: xdp.es hace algo que ningún otro hace. Cuando una IP de una CDN queda bloqueada por una orden judicial (ha pasado con Cloudflare durante partidos de fútbol), responde con otra IP del mismo CDN que sí funciona. Es la única solución por DNS a un bloqueo por IP, y sólo para ese caso.
Lo que no hace el DNS
- No cambia tu dirección IP ni tu país aparente: las webs siguen sabiendo de dónde eres.
- No cifra tu navegación: sólo la consulta de nombres. El operador sigue viendo a qué IP te conectas.
- No salta los bloqueos por IP ni por SNI, como hemos visto.
- No abre webs caídas o que bloquean tu país por su cuenta (geobloqueo del propio sitio).
Para todo eso, la herramienta es una VPN. El DNS es la herramienta cuando el problema es, específicamente, que tu operador no resuelve un nombre. Que es el problema más común, y por eso este artículo existe.
Sobre la legalidad
Cambiar el DNS de tu propio dispositivo es legal en general y los resolvers públicos existen precisamente para que cada uno elija el suyo. El contenido al que accedes es otra cuestión y depende de tu país: si algo está bloqueado por orden judicial, acceder puede tener consecuencias con independencia de la técnica. Aquí explicamos cómo funciona; lo que hagas con ello es cosa tuya.